Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 3 (15.06.2016):
Für die SUSE Linux Enterprise Produkte Server, Desktop, Workstation
Extension sowie Software Development Kit in den Versionen 12 und 12-SP1
stehen Sicherheitsupdates für ImageMagick bereit.
Version 2 (09.06.2016):
Für openSUSE 13.2 steht ein Sicherheitsupdate für ImageMagick bereit.
Version 1 (08.06.2016):
Neues Advisory
Betroffene Software:
GraphicsMagick <= 1.3.23 ImageMagick Betroffene Plattformen: SUSE Linux Enterprise Workstation Extension 12 SUSE Linux Enterprise Workstation Extension 12 SP1 SUSE Linux Enterprise Software Development Kit 12 SUSE Linux Enterprise Software Development Kit 12 SP1 openSUSE 13.2 openSUSE Leap 42.1 SUSE Linux Enterprise Desktop 12 SUSE Linux Enterprise Desktop 12 SP1 SUSE Linux Enterprise Server 12 SUSE Linux Enterprise Server 12 SP1 Ein entfernter, nicht authentifizierter Angreifer kann eine Schwachstelle ausnutzen, um mit Hilfe speziell präparierter Bilddateinamen beliebigen Programmcode auf Systemen auszuführen, die ImageMagick oder GraphicsMagick zur Verarbeitung von Bildern verwenden. Für openSUSE 13.2 und openSUSE Leap 42.1 stehen Sicherheitsupdates für GraphicsMagick bereit. Patch: openSUSE Security Update openSUSE-SU-2016:1521-1 https://lists.opensuse.org/opensuse-security-announce/2016-06/msg00008.html
Patch:
openSUSE Security Update openSUSE-SU-2016:1522-1
https://lists.opensuse.org/opensuse-security-announce/2016-06/msg00009.html
Patch:
openSUSE Security Update openSUSE-SU-2016:1534-1
https://lists.opensuse.org/opensuse-security-announce/2016-06/msg00011.html
Patch:
SUSE Security Update SUSE-SU-2016:1570-1
https://lists.opensuse.org/opensuse-security-announce/2016-06/msg00021.html
CVE-2016-5118: Schwachstelle in GraphicsMagick / ImageMagick ermöglicht
Ausführen beliebigen Programmcodes
GraphicsMagick und ImageMagick unterstützen eine Syntax zum Öffnen von
Dateien der folgenden Art. Wenn ein Dateiname mit dem Pipe-Zeichen (‘|’)
beginnt, wird der restliche Dateiname ohne weitere Überprüfung durch die
POSIX popen(3C)-Funktion an die Shell zur Ausführung weitergereicht. Dadurch
kann beliebiger Programmcode als Teil des Dateinamens eingeschleust und zur
Ausführung gebracht werden. Das Öffnen der Datei erfolgt hierbei durch die
Funktion OpenBlob() in blob.c. Im Gegensatz zu der Schwachstelle
CVE-2016-3714 wird diese Funktionalität durch die zentrale Funktion zum
Öffnen von Dateien unterstützt, anstelle eines ‘delegates’-Subsystems,
welches normalerweise zum Öffnen externer Programme verwendet wird.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0923/
Schwachstelle CVE-2016-5118 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5118
openSUSE Security Update openSUSE-SU-2016:1521-1:
https://lists.opensuse.org/opensuse-security-announce/2016-06/msg00008.html
openSUSE Security Update openSUSE-SU-2016:1522-1:
https://lists.opensuse.org/opensuse-security-announce/2016-06/msg00009.html
openSUSE Security Update openSUSE-SU-2016:1534-1:
https://lists.opensuse.org/opensuse-security-announce/2016-06/msg00011.html
SUSE Security Update SUSE-SU-2016:1570-1:
https://lists.opensuse.org/opensuse-security-announce/2016-06/msg00021.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
